ÉCOLE DE TECHNOLOGIE SUPÉRIEURE UNIVERSITÉ DU QUÉBEC MÉMOIRE PRÉSENTÉ À L ÉCOLE DE TECHNOLOGIE SUPÉRIEURE

Transcription

1 ÉCOLE DE TECHNOLOGIE SUPÉRIEURE UNIVERSITÉ DU QUÉBEC MÉMOIRE PRÉSENTÉ À L ÉCOLE DE TECHNOLOGIE SUPÉRIEURE COMME EXIGENCE PARTIELLE À L OBTENTION DE LA MAÎTRISE EN GÉNIE ÉLECTRIQUE M.Ing. PAR Tennessee CARMEL-VEILLEUX ADAPTATION MULTICOEUR D UN NOYAU DE PARTITIONNEMENT ROBUSTE VERS L ARCHITECTURE POWERPC MONTRÉAL, LE 7 SEPTEMBRE 2011 Tous droits réservés, Tennessee Carmel-Veilleux, 2011

2

3 PRÉSENTATION DU JURY CE MÉMOIRE A ÉTÉ ÉVALUÉ PAR UN JURY COMPOSÉ DE : M Jean-François Boland, directeur de mémoire Département de génie électrique, ÉTS M Guy Bois, codirecteur Département de génie informatique et logiciel, École Polytechnique M Claude Thibeault, président du jury Département de génie électrique, ÉTS M Bruno De Kelper, membre du jury Département de génie électrique, ÉTS M Daniel Roy, examinateur externe CMC Électronique inc. IL A FAIT L OBJET D UNE SOUTENANCE DEVANT JURY ET PUBLIC LE 26 AOÛT 2011 À L ÉCOLE DE TECHNOLOGIE SUPÉRIEURE

4

5 REMERCIEMENTS En premier lieu, j aimerais remercier mon directeur Jean-François Boland et mon codirecteur Guy Bois, qui m ont donné une grande latitude dans la réalisation de mon projet de maîtrise. J ai aussi apprécié leur support tout au long de ma maîtrise et en particulier après la naissance de mon fils Léon, arrivé au milieu de mon cheminement. J aimerais aussi remercier l École de technologie supérieure (ÉTS), le Fonds québécois de recherche sur la nature et les technologies (FQRNT) et le Regroupement stratégique en microélectronique du Québec (ReSMiQ) pour leur support financier qui m a permis de réaliser mes travaux. Enfin, je voudrais remercier tout particulièrement ma conjointe Melissa. Ses encouragements et son support ont été instrumentaux à la réussite de mes travaux.

6 ADAPTATION MULTICOEUR D UN NOYAU DE PARTITIONNEMENT ROBUSTE VERS L ARCHITECTURE POWERPC Tennessee CARMEL-VEILLEUX RÉSUMÉ L utilisation de plus en plus commune de l architecture d avionique modulaire intégrée (IMA) a permis de réduire le poids, la taille et l encombrement des systèmes avioniques en consolidant l exécution logicielle de plusieurs fonctions sur un même processeur. En même temps que l adoption accélérée de l architecture IMA, les microprocesseurs multicoeurs ont gagné en popularité en raison de la stagnation des fréquences d horloge des processeurs monocoeurs. Les processeurs multicoeurs promettent d augmenter l intégration de fonctions logicielles, mais ces derniers ne sont toujours pas acceptés en avionique, pour des raisons de complexité qui affectent la sûreté. La technologie principale permettant l utilisation de l architecture IMA est le noyau de partitionnement robuste. Un noyau de partitionnement robuste permet d isoler les applications indépendantes d un système IMA pour prévenir la propagation des fautes. Cette isolation est réalisée par partitionnement spatial et temporel robustes. Dans ce domaine, il n existe actuellement aucun système d exploitation supportant les recherches sur l évaluation de sûreté des processeurs multicoeurs. Nous proposons dans ce mémoire d adapter un noyau de partitionnement robuste existant, afin qu il supporte le déploiement de partitions en parallèle sur plusieurs coeurs d un processeur multicoeur. Nous avons analysé l architecture d un noyau existant, nommé XtratuM, puis nous l avons adapté à un modèle de partitionnement robuste multicoeur. Nous avons ensuite réalisé une implémentation de cette adaptation sur un processeur PowerPC multicoeur de la famille MPC8641 de Freescale. Le prototype résultant est nommé XtratuM-PPC. Nous présentons enfin une étude de cas de l utilisation de XtratuM-PPC avec un plan d exécution multicoeur. Lors des phases d adaptation et de réalisation, nous avons identifié un ensemble de problèmes techniques affectant la sûreté des noyaux de partitionnement robuste sur les processeurs multicoeurs. Ces problèmes mettent en relief la complexité d implémentation de ce type de système logiciel. Nos travaux nous permettent de conclure que l adaptation d un noyau de partitionnement robuste monocoeur existant à une architecture multicoeur est possible. Cependant, les problèmes de sûreté qui apparaissent avec les processeurs multicoeurs demeurent non résolus. Notre prototype de noyau de partitionnement robuste multicoeur est un point de départ pour la résolution de ces problèmes dans un environnement réel. Mots-clés : Partitionnement, processeurs multicoeurs, systèmes d exploitation, systèmes embarqués, avionique, IMA

7 ADAPTATION MULTICOEUR D UN NOYAU DE PARTITIONNEMENT ROBUSTE VERS L ARCHITECTURE POWERPC Tennessee CARMEL-VEILLEUX ABSTRACT Increasing use of the integrated modular avionics (IMA) architecture has helped reduce the size, weight and power consumption of avionics systems by consolidating multiple software functions on a same processor. At the same time as the accelerated adoption rate of IMA architectures, multi-core microprocessors have gained popularity due to stagnating performances of single-core offerings. Multi-core processors promise to increase software functions integration, but they are still not widely accepted in avionics, for reasons of complexity which affect safety. The technological underpinning of the IMA architecture is the robust partitioning kernel. A robust partitioning kernel maintains an isolation between independant applications to prevent the propagation of faults within the system. This isolation is achieved by robust time and space partitioning. Unfortunately, there are no multicore-capable robust partitioning kernels currently available to support research in using multicore processors in IMA. In this master s thesis, we propose to adaptat an existing robust partitioning kernel, so that it supports the deployment of partitions on several cores of a multi-core processor. To achieve this goal, we analyzed the existing XtratuM partitioning kernel and adapted it to support a multi-core robust partitioning model. We then implemented this adaptation on the Freescale MPC8641 multi-core PowerPC processor. The resulting prototype is named XtratuM-PPC. Finally, we present a case study using a multi-core execution plan on XtratuM-PPC. During the adaptation and implementation phases, we identified a set of technical problems which affect the safety of robust partitioning kernels on multi-core processors. These problems highlight the implementation complexity of implementation of multi-core robust partitioning kernels. Our work allows us to conclude that it is indeed possible to adapt a robust partitioning kernel from a single-core to a multi-core architecture. However, the safety-related problems that appeared due to the use of multi-core processors remain unresolved. Our multi-core robust partitioning kernel prototype is thus a starting point for the resolution of these problems in a real-world environment. Keywords: Partitionning, multicore processors, operating systems, embedded systems, avionics, IMA

8 IV

9 TABLE DES MATIÈRES Page INTRODUCTION... 1 CHAPITRE 1 PROBLÉMATIQUE Problème de recherche Objectifs Contributions Hypothèses et suppositions... 9 CHAPITRE 2 REVUE DE LA LITTÉRATURE ET FONDEMENTS Survol Systèmes embarqués avioniques Fonctions avioniques Sûreté des systèmes avioniques Fiabilité des systèmes avioniques Lignes directrices de certification Directive DO-178B visant le développement logiciel Architecture des systèmes embarqués avioniques L avionique fédérée L avionique modulaire intégrée Partitionnement robuste Définition du partitionnement robuste Partitionnement spatial Partitionnement temporel Le partitionnement robuste selon la norme ARINC Interdépendances entre partitionnement spatial et temporel Méthodes de partitionnement spatial Méthodes de partitionnement temporel Choix d un noyau de partitionnement robuste à adapter Processeurs multicoeurs CHAPITRE 3 ARCHITECTURE ET IMPLÉMENTATION DU NOYAU XTRATUM SUR PROCESSEURS LEON Survol Historique de XtratuM Architecture de XtratuM Plan de configuration du système Déploiement du système partitionné Configuration et construction du noyau... 42

10 VI Génération de la table de configuration binaire Construction des partitions Construction de l image de déploiement Déploiement sur la carte matérielle Services de base du noyau Gestion de l horloge Gestion des interruptions et exceptions Virtualisation des opérations superviseur Mécanisme d hyperappels Partitionnement temporel Partitionnement spatial Communication inter-partitions Moniteur de santé du système Récapitulation CHAPITRE 4 ANALYSE DE L ADAPTATION MULTICOEUR DE XTRATUM Survol Support existant pour traitement parallèle Méthodologie d adaptation Hypothèses et suppositions Identification des besoins Plan de configuration du système Déploiement du système partitionné Services de base du noyau Duplication du fil d exécution du noyau Démarrage du noyau Gestion de l horloge Gestion des interruptions et exceptions Mécanisme d hyperappels Partitionnement temporel Plans d exécution multicoeur Modèle asymétrique (AMP) Modèle symétrique (SMP) Modèle hybride Ordonnancement multicoeur Hyperappels de support multicoeur Problèmes liés au partitionnement temporel multicoeur Analyse du délai maximal d exécution des tâches Synchronisation temporelle des ordonnanceurs Gestion des fautes Modèles de programmation parallèle Partitionnement spatial Exploitation du MMU...107

11 VII Adaptation multicoeur du modèle de partitionnement spatial Protection des données partagées Problèmes liés au partitionnement spatial multicoeur Communication inter-partitions Moniteur de santé du système Récapitulation CHAPITRE 5 RÉALISATION DE XTRATUM-PPC SUR POWERPC Survol Plateforme cible Architecture du PowerPC MPC8641D Plateforme virtuelle Motivations Choix de la plateforme virtuelle Configuration de la plateforme cible sous Simics Chaîne de compilation Démarrage du système Vecteurs d exceptions Procédure de démarrage Identification des coeurs Problèmes potentiels Gestion du temps Horloges locales Minuteries Synchronisation des horloges locales Problèmes potentiels Gestion des interruptions Pilote du contrôleur d interruptions OpenPIC Gestionnaires d interruptions et d exceptions Problèmes potentiels Synchronisation multicoeur Opérations atomiques Verrous Barrières Problèmes Mécanisme d hyperappels Exploitation du MMU Application du modèle de partitionnement spatial sur le MMU Caches d entrées des TLB Problèmes Changement de contexte de partitions Appel de l ordonnanceur Composante générique du changement de contexte...177

12 VIII Implémentation du changement de contexte principal sur e Gestion des registres spécialisés Mise à l essai Objectifs Présentation de l étude de cas Méthodologie de mesure Résultats Conclusions Récapitulation CONCLUSION ANNEXE I TABLEAUX ET FIGURES SUPPLÉMENTAIRES ANNEXE II ARTICLE DE CONFÉRENCE SUR LA MÉTHODE VPI LISTE DE RÉFÉRENCES BIBLIOGRAPHIQUES...217

13 LISTE DES TABLEAUX Page Tableau 2.1 Paramètres de l exemple d un plan d exécution à deux partitions Tableau 3.1 Méthodes de virtualisation des fonctions privilégiées Tableau 3.2 Fonctions de base du mécanisme de pilote générique de XtratuM Tableau 3.3 Liste des actions du moniteur de santé du système de XtratuM Tableau 4.1 Types de zones de mémoire virtuelle dans XtratuM-PPC Tableau 4.2 Résumé des problèmes de l adaptation architecturale de XtratuM Tableau 5.1 Outils utilisés pour la réalisation XtratuM-PPC Tableau 5.2 Liste des huit premiers vecteurs d exceptions du PowerPC Tableau 5.3 Bits de configuration d accès mémoire du MMU du coeur e Tableau 5.4 Configuration d accès des zones de mémoire virtuelle Tableau 5.5 Registres sauvegardés lors du changement de contexte sur e Tableau 5.6 Sommaire des applications de l étude de cas Tableau 5.7 Ressources de mémoire allouées aux applications Tableau 5.8 Ressources temporelles allouées aux applications Tableau 5.9 Résultats des mesures de changement de contexte Tableau 5.10 Résultats des mesures de durée de fenêtres d activation Tableau 5.11 Résumé des problèmes trouvés lors de la réalisation de XtratuM-PPC

14 X

15 LISTE DES FIGURES Page Figure 2.1 Exemple schématique d une architecture fédérée Figure 2.2 Exemple schématique d une architecture IMA Figure 2.3 Exemple d un plan d exécution à deux partitions Figure 2.4 Modes de diffusion de messages inter-partitions Figure 3.1 Schéma-bloc typique d un processeur LEON Figure 3.2 Diagramme des états possibles pour une partition dans XtratuM Figure 3.3 Flot de compilation de la table de configuration de XtratuM Figure 3.4 Fenêtre du script de configuration du noyau XtratuM Figure 3.5 Schéma de l architecture de XtratuM incluant les services Figure 3.6 Illustration de la progression du temps réel et du temps virtuel Figure 3.7 Cheminement de traitement d une interruption de périphérique Figure 3.8 Diagramme de séquence pour l hyperappel XM_get_time() Figure 3.9 Code compilé de la routine d hyperappel XM_get_time() Figure 3.10 Compensation du WCET de l hyperappel le plus coûteux Figure 3.11 Exemple de carte mémoire d un système XtratuM à deux partitions Figure 3.12 Cheminement d une faute dans le moniteur de santé du système Figure 4.1 Digramme schématique d un système parallèle SMP UMA Figure 4.2 Chronogramme de la séquence de démarrage sur 3 coeurs Figure 4.3 Plan d exécution asymétrique (AMP) sur trois coeurs Figure 4.4 Plan d exécution symétrique (SMP) sur trois coeurs Figure 4.5 Plan d exécution hybride sur trois coeurs... 96

16 XII Figure 4.6 Temps morts causé par le décalage temporel Figure 4.7 Exemple de gestion d une faute dans un groupe de partitions SMP Figure 4.8 Exemple d allocation de zones de mémoire virtuelle Figure 5.1 Diagramme-bloc du MPC8641D Figure 5.2 Couches conceptuelles d une plateforme virtuelle Figure 5.3 Diagramme-bloc du modèle de simulation utilisé Figure 5.4 Cheminement du démarrage du noyau XtratuM Figure 5.5 Registre de destination et de priorité d une interruption Figure 5.6 Cheminement de la translation d une adresse dans le MMU Figure 5.7 Illustration de la compression de la cache d entrées des TLB de pages Figure 5.8 Illustration de l utilisation du bloc de continuation Figure 5.9 Flux de données entre les partitions de l étude de cas Figure 5.10 Délai de changement de contexte du MMU...191

17 LISTE DES EXTRAITS DE CODE Page Extrait 3.1 Code source de l hyperappel XM_create_queuing_port() Extrait 3.2 Exemple de définition du plan d activation dans le PCS Extrait 5.1 Exemple d utilisation d un verrou d exclusion mutuelle Extrait 5.2 Implémentation de l opération atomique XMAtomicIncReturn Extrait 5.3 Implémentation des verrous multicoeurs Extrait 5.4 Exemples de code employant l appel système Extrait 5.5 Structure de données d une entrée dans les caches d entrées des TLB Extrait 5.6 Composante générique du changement de contexte...178

18 XIV

19 LISTE DES ABRÉVIATIONS, SIGLES ET ACRONYMES AECC AMP APEX ARINC DMA ESA FAA FBW FIFO FMS FPU GPL IEEE IPC ISS IVHM JTAG MMU MPU NASA Airlines Electronic Engineering Committee Asymetrical Multiprocessing ARINC-653 Application Executive Aeronautical Radio Incorporated Direct Memory Access European Space Agency Federal Aviation Administration Fly-by-wire First-In First-Out Flight management system Floating-point unit GNU Public License Institute of Electrical and Electronics Engineers Inter-partition communication Instruction Set Simulator Integrated Vehicle Health Management IEEE Joint Test Action Group Memory Management Unit Memory protection unit National Aeronautics and Space Administration

20 XVI NUMA OS PCI PCS RSW RTCA SMP TBC TLB VP VPI WCET Non-uniform Memory Access Operating System Peripheral Component Interconnect Plan de configuration du système Resident Software Radio Technical Commission for Aeronautics Symetrical Multiprocessing Timebase counter Translation Lookaside Buffer Virtual Platform Virtual Platform Instrumentation Worst case execution time

21 INTRODUCTION Depuis le début des années 2000, un nouveau modèle d intégration avionique a pris son essor dans les derniers modèles des grands avionneurs. Le modèle d avionique modulaire intégrée [68] (de l anglais «Integrated Modular Avionics» ou IMA) propose de consolider et d intégrer les fonctions avioniques des appareils dans un nombre réduit de boîtiers en exécutant plusieurs applications différentes sur un même microprocesseur. Cette consolidation de plusieurs applications avioniques sur un microprocesseur va à l encontre de la pratique traditionnelle. Avec le modèle d avionique fédérée traditionnel, un ordinateur embarqué avec ses fonctions associées (alimentations, mémoires, interfaces) est dédié à chaque application avionique. Par exemple, le système de gestion de vol est réalisé avec un ordinateur complètement indépendant de celui du contrôle de climatisation de la cabine. Le modèle fédéré limite la complexité, ce qui simplifie la certification de sûreté. Cependant, l augmentation du poids, de l espace et de l énergie consommée qui découle de la duplication des ordinateurs est trop élevée dans un contexte d augmentation du nombre de fonctions et de diminution des coûts d exploitation des avions. Le modèle IMA est de plus en plus employé dans les appareils développés récemment, dont le Boeing 787 Dreamliner et l Airbus A380 [55]. La séparation des fonctions inhérente au modèle fédéré a cependant l effet bénéfique de contenir les fautes. Par exemple, le plantage du logiciel dans un boîtier ne pourrait en aucun cas se propager à un autre boîtier. En contraste, dans le modèle IMA, on doit employer une isolation logicielle entre les différentes fonctions avioniques qui s exécutent sur un même processeur afin d empêcher la propagation des fautes entre les applications [57]. Cette isolation est réalisée à l aide d un mécanisme appelé «partitionnement robuste». La norme ARINC-653 [12] spécifie un modèle de partitionnement robuste standardisé et des interfaces logicielles qui permettent de faire communiquer les applications d un système IMA entre elles. Cette norme est

22 2 déjà supportée par plusieurs systèmes d exploitation du domaine commercial, dont VxWorks 653 de Wind River, Integrity-178B de Green Hills, PikeOS de SYSGO et LynxOS-178B de LynuxWorks. Jusqu à présent, les systèmes IMA déployés par les avionneurs emploient des ordinateurs monoprocesseurs classiques. Cela peut sembler surprenant puisque les ordinateurs à processeurs multicoeurs sont actuellement la norme. Les processeurs multicoeurs ont été largement adoptés en raison du plafonnement des fréquences d horloge et de l augmentation du nombre de transistors intégrables sur une même puce prévu par la loi de Moore [13]. Ils sont aussi de plus en plus employés dans les systèmes embarqués dans plusieurs domaines industriels [17, 24]. Malgré cela, l utilisation des processeurs multicoeurs en avionique en général et en IMA en particulier relève encore du domaine de la recherche. Cela est dû au fait que la complexité additionnelle des systèmes parallèles introduit plusieurs nouveaux problèmes techniques qui affectent la certification de sûreté matérielle et logicielle [37]. D ailleurs, la norme ARINC- 653 ne spécifie que le comportement d un système monoprocesseur (monocoeur) classique. Certains systèmes d exploitation commerciaux permettent déjà le partitionnement robuste sur plusieurs coeurs, dont QNX Neutrino [36] et SYSGO PikeOS [62]. Le système d exploitation PikeOS est même certifié pour utilisation avionique. Cependant, l adoption de ces systèmes d exploitation est ralentie par les obstacles à la certification de sûreté rencontrés par les développeurs d applications avioniques et les avionneurs. De plus, ces systèmes d exploitation ne sont pas ouverts, empêchant ainsi une évaluation poussée par les chercheurs. L exploitation des nouveaux processeurs multicoeurs pour les applications IMA est un domaine de recherche encore très fertile. À notre connaissance, aucun système d exploitation à partitionnement robuste supportant les processeurs multicoeurs n est présentement disponible dans le domaine académique sans licence commerciale. Cette absence d options dans le

23 3 domaine est un obstacle à l avancement des recherches sur les sujets liés au partitionnement robuste avec les processeurs multicoeurs.

24 4 Dans ce contexte, nous identifions le problème de recherche suivant : «Comment serait-il possible d adapter un noyau de partitionnement robuste monocoeur existant afin de le rendre compatible à un environnement multicoeur?» Le développement d une solution à ce problème permettra de mettre en relief les obstacles qui empêchent actuellement l exploitation en pratique des processeurs multicoeurs dans le domaine de l IMA. Nous visons aussi, à travers la réalisation du prototype de solution, l évaluation d une plateforme virtuelle pour le développement logiciel en avionique. Des projets de recherche récents, mandatés par la FAA, suggèrent l évaluation des plateformes virtuelles afin d améliorer la qualité de vérification des logiciels embarqués avioniques complexes [43]. Nous avons donc choisi de suivre le sillage de ces chercheurs afin de valider, dans notre contexte, l exploitation de la même plateforme virtuelle, soit Wind River Simics, pour faciliter le développement de notre prototype. Ce mémoire présente l adaptation logicielle du noyau de partitionnement robuste monocoeur académique «XtratuM» [19] qui vise l architecture SparcV8 [60] afin de le rendre compatible avec un modèle de processeur multicoeur. L adaptation ainsi réalisée, nommée «XtratuM- PPC», vise les processeurs multicoeurs de l architecture PowerPC [34, 53]. Nous proposons une adaptation du modèle de partitionnement robuste de XtratuM applicable dans le cas des processeurs multicoeurs. De plus, nous identifions, à travers notre implémentation, des problèmes potentiels liés à l exploitation des processeurs multicoeurs dans le contexte du partitionnement robuste. Enfin, nous présentons les résultats d une étude de cas expérimentale de l utilisation de notre noyau adapté, XtratuM-PPC, pour l intégration d un nombre d applications plus élevé que ce qui est possible sur un processeur monocoeur. Le corps de ce mémoire est structuré comme suit : le chapitre 1 présente la problématique de recherche ;

25 5 le chapitre 2 présente une revue de la littérature pertinente au problème ; le chapitre 3 présente l architecture du noyau XtratuM original ; le chapitre 4 présente notre adaptation multicoeur de chacun des blocs du noyau ; le chapitre 5 présente les détails techniques de l implémentation de XtratuM-PPC sur les processeurs PowerPC et une étude de cas de son utilisation. Nous concluons finalement avec une synthèse de nos travaux et des pistes de recherches ultérieures.

26 6

27 CHAPITRE 1 PROBLÉMATIQUE 1.1 Problème de recherche Nous posons le problème de recherche avec la question suivante : «Dans le contexte des systèmes IMA, comment serait-il possible d adapter un noyau de partitionnement robuste monocoeur existant afin de le rendre compatible à un environnement multicoeur?» Le problème est motivé par la stagnation des performances des processeurs monocoeurs depuis le milieu des années 2000 [13], ce qui force l industrie avionique à considérer l éventuelle adoption des processeurs multicoeurs [37]. Dans le cadre du projet CRIAQ AVIO-509, des partenaires industriels du domaine de l avionique sont intéressés à l utilisation éventuelle des processeurs multicoeurs pour augmenter le niveau d intégration des plateformes avioniques afin d en réduire les coûts. Le problème posé ci-haut a été identifié comme une première étape dans cette direction lors de réunions des chercheurs de notre équipe de projet. 1.2 Objectifs Dans le cheminement vers la solution du problème de recherche, trois objectifs sont visés. À notre connaissance, il n existe actuellement aucun prototype librement disponible permettant l évaluation du partitionnement robuste sur processeurs multicoeurs pour les applications avioniques. 1. Le premier objectif consiste à adapter un noyau de partitionnement robuste existant à une architecture multicoeur. Le noyau adapté devra permettre :

28 8 la consolidation d un plus grand nombre d applications avioniques sur une même machine en exploitant des processeurs multicoeurs existants ; l exploration des principaux modèles de partitionnement temporels parallèles (AMP, SMP et hybride) ; le prototypage d applications IMA embarquées dans un environnement logiciel comparable aux solutions commerciales existantes. L implémentation d un noyau de partitionnement robuste multicoeur vise à rendre possible l intégration sécuritaire d un nombre plus élevé de fonctions avioniques dans chaque boîtier physique. La mise en oeuvre d une implémentation multicoeur du partitionnement robuste permettra de relever des problèmes d intégration et de sûreté encore inconnus ou encore non validés expérimentalement. 2. Le second objectif consiste à identifier des problèmes d intégration et de sûreté découlant du partitionnement robuste multicoeur. Les noyaux de partitionnement robuste font partie de la classe logicielle des systèmes d exploitation. Ils doivent prendre le contrôle total du matériel afin d isoler adéquatement les applications. Les systèmes d exploitation embarqués sont notoirement difficiles à développer, car les bogues surviennent le plus souvent à un niveau où l utilisation de débogueurs est difficile, voire impossible et où les conséquences de bogues sont souvent le plantage dur de la machine. L utilisation de plateformes virtuelles a été suggérée dans la littérature [43] pour simplifier le développement et la validation des logiciels embarqués. 3. Le troisième objectif consiste à implémenter la totalité du prototype sur une plateforme virtuelle afin d évaluer les avantages et inconvénients de ce type d outil pour le prototypage et le test de logiciels avioniques complexes. 1.3 Contributions Nous identifions ici les contributions découlant de la réalisation de nos travaux de recherche et de l atteinte des objectifs du projet.

29 9 En premier lieu, nous réalisons un prototype de noyau de partitionnement robuste multicoeur adapté à partir d un noyau existant. Le code source, la documentation et les exemples découlant de la réalisation de cette adaptation pourront servir de base à des travaux de recherche ultérieurs qui nécessitent un noyau de partitionnement robuste multicoeur fonctionnel. En second lieu, nous présentons les problèmes d adaptation que nous avons relevés, ainsi que la description du processus d adaptation. Le contenu du présent mémoire sera utile à nos successeurs qui voudront réaliser le même genre d exercice dans un environnement industriel. En dernier lieu, nous présentons une étude de cas de l utilisation de notre noyau adapté. Cette étude de cas est réalisée sur la plateforme virtuelle Simics. Par ailleurs, nous avons développé une méthode d instrumentation nouvelle vouée aux plateformes virtuelles lors du débogage de notre implémentation du noyau XtratuM-PPC. Cette méthode, nommée VPI («Virtual Platform Instrumentation»), a fait l objet d un article de conférence présenté à l «IEEE International Symposium on Rapid System Prototyping» (RSP 2011). L article est reproduit à l annexe II. Notre couverture de l utilisation de plateformes virtuelles sera donc réduite dans le présent mémoire, car ces résultats ne sont pas nécessaires à la compréhension de nos contributions principales liées à l adaptation du noyau XtratuM. 1.4 Hypothèses et suppositions Nous identifions dans cette section les hypothèses et suppositions générales qui ont servi à guider la méthodologie de recherche. Notre hypothèse centrale est que l adaptation multicoeur d un noyau de partitionnement robuste existant est possible. De plus, nous émettons l hypothèse que cette adaptation pourra supporter des plans d exécution parallèles symétriques (SMP), asymétriques (AMP) et hybrides (SMP et AMP).

30 10 Ces hypothèses sont basées sur l analyse préalable des architectures des systèmes d exploitation Linux et RTEMS. Linux et RTEMS supportent déjà des modèles de programmation parallèles. De plus, le système d exploitation temps réel RTEMS a déjà fait l objet d une adaptation afin de supporter le partitionnement robuste selon la norme ARINC-653 sur des processeurs monocoeurs. Cette adaptation avait été réalisée par l équipe du projet AIR («ARINC-653 in RTEMS») [56], sans support de traitement parallèle. Enfin, le noyau de partitionnement robuste de PikeOS supporte maintenant les processeurs multicoeurs [30, 62]. Ce dernier est apparu vers la fin de nos travaux. Il est donc raisonnable de croire qu il sera possible d adapter un noyau de partitionnement robuste monocoeur à un modèle multicoeur dans nos travaux. Afin de circonscrire plus précisément notre problématique, nous soulignons les suppositions suivantes : La cible des développements expérimentaux est l architecture PowerPC. Plusieurs processeurs multicoeurs commerciaux emploient déjà cette architecture. La plateforme matérielle modélisée est considérée comme fiable et déterministe au sens de ses spécifications. Nous n évaluerons pas la fiabilité intrinsèque de la plateforme matérielle cible. La plateforme virtuelle employée pour les travaux de prototypage est supposée fiable et déterministe. Aucune contrainte de certifiabilité n est appliquée aux développements expérimentaux, malgré la considération de ces mêmes contraintes dans la résolution du problème posé. Le modèle de partitionnement robuste défini par la norme ARINC-653 est prépondérant en industrie, mais nos travaux d adaptations ne viseront que le respect de l esprit de la norme et non pas son implémentation. Ces suppositions générales s appliquent en général à l intégralité de nos travaux. Ces dernières s ajoutent aux suppositions propres à chacune des tâches d adaptation, qui seront présentées dans leur contexte particulier.

31 CHAPITRE 2 REVUE DE LA LITTÉRATURE ET FONDEMENTS 2.1 Survol Dans ce chapitre, nous présentons les fondements nécessaires à la contextualisation du reste du mémoire. En premier lieu, nous décrivons le type de systèmes avioniques ciblés par nos travaux. En second lieu, nous jetons les bases du domaine du partitionnement robuste et présentons les méthodes employées pour implémenter les noyaux de partitionnement robuste modernes. Par la suite, nous justifions le choix du noyau de partitionnement robuste XtratuM comme base pour l adaptation multicoeur décrite aux chapitres 4 et 5. Finalement, nous fournissons quelques références importantes à propos des processeurs multicoeurs. 2.2 Systèmes embarqués avioniques Notre travail de recherche s inscrit dans le domaine des systèmes embarqués avioniques. Le domaine de l avionique regroupe la conception, la réalisation et l entretien des systèmes électriques, électroniques et informatiques des avions. Dans un avion de ligne moderne, l avionique comprend entre autres une multitude de systèmes embarqués qui collabore pour assurer le bon fonctionnement de l appareil. Dans les sections suivantes, nous présentons un survol des caractéristiques principales des systèmes embarqués avioniques. En premier lieu, nous présentons des exemples de fonctions avioniques basées sur des systèmes embarqués. Ensuite, nous discutons de la sûreté des systèmes embarqués avioniques. Finalement, nous introduisons l architecture des systèmes embarqués avioniques, incluant le modèle d avionique modulaire intégrée et son rôle dans les systèmes avioniques contemporains.

32 Fonctions avioniques Le cockpit moderne est occupé dans la majorité des cas par deux professionnels : un pilote et un copilote. Les postes de mécanicien de bord et de navigateur ont pour ainsi dire disparu depuis l apparition de systèmes avioniques suffisamment performants pour les remplacer [61, p. 172]. Ainsi, le contrôle des paramètres mécaniques et du plan de vol est maintenant réalisé par des systèmes embarqués. Ces derniers mesurent et évaluent en temps réel une multitude de capteurs. Les conditions normales sont gérées automatiquement et l attention du pilote n est demandée que lorsqu un évènement anormal survient. De cette façon, la surveillance continuelle d un mur complet d indicateurs n est plus nécessaire. Les pilotes peuvent donc se concentrer uniquement à leurs tâches principales de pilotage et de gestion du vol, avec un nombre réduit de distractions. Deux exemples de fonctions avioniques très communes sont les systèmes de commande de vol électriques (de l anglais «fly-by-wire», abrégé FBW) et les systèmes de gestion de vol (de l anglais «flight management system», abrégé FMS). Les systèmes de commande électrique de vol contrôlent le déplacement de toutes les gouvernes (ailerons, déporteurs et volets) à l aide d actionneurs électriques en fonction des commandes du pilote et de lois de contrôle adaptées [16, pp ], au lieu d employer des systèmes à câbles à lien direct. Les systèmes FBW améliorent la stabilité statique de l appareil et garantissent la sûreté des paramètres de l enveloppe de vol en prévenant par exemple une inclinaison latérale excessive [26, pp ]. Les systèmes de gestion de vol, quant à eux, remplacent la position du navigateur dans le cockpit par un ensemble d ordinateurs et d affichages. Le FMS fournit aux pilotes les données de trajectoire nécessaires au respect du plan de vol et leur permet de suivre en temps réel l évolution de la position de l appareil [67].

33 Sûreté des systèmes avioniques Le droit de vol dans l espace aérien public implique des appareils sûrs. La sûreté est certifiée par les autorités d aviation civile, telles que la «Federal Aviation Administration» (FAA) aux États-Unis et Transport Canada. Ces certifications ont pour objectif d assurer la sûreté du public, des passagers et des équipages [9, p. 145] Fiabilité des systèmes avioniques Selon McIntyre de la FAA [47, p. 327], la sûreté des avions passe par la fiabilité et c est pourquoi la réglementation vise principalement cet aspect. Deux éléments sont nécessaires à l obtention de la fiabilité : 1) la conception à sécurité intégrée («fail-safe design») et 2) la redondance des systèmes. Selon Allerton, ces deux concepts sont inextricablement reliés [9, p. 146]. Il est actuellement impossible de réaliser des systèmes électroniques ou mécaniques dont la probabilité de défaillance respecte le barème actuel d une défaillance par 10 9 heures 1. La redondance des systèmes est le seul moyen d obtenir la fiabilité nécessaire. Les moteurs, boîtiers avioniques, actionneurs et autres composants sont dits «certifiables» lorsqu ils ont passé une évaluation de conception et passé leurs tests de certification. À partir de ce moment, ils peuvent être inclus dans un système intégré, qui sera certifié dans son ensemble Lignes directrices de certification Des lignes directrices («guidelines» en anglais) ont été développées par les organismes régulateurs, de concert avec l industrie, afin d assurer l uniformité et la faisabilité commerciale 1. Une défaillance par 10 9 h équivaut à une défaillance par ans pour une flotte de 100 avions ou une défaillance par ans pour un seul avion [9, p. 145].

34 14 des critères d évaluation lors de l étape de certification. Ces documents couvrent tous les aspects du développement d équipements pour les avions, incluant les systèmes mécaniques, électroniques, logiciels, ainsi que l intégration de ces derniers. Les lignes directrices sont des «normes» de facto dont la validité est généralement reconnue par les organismes régulateurs à travers le monde. En prouvant avoir suivi le cheminement d une ligne directrice, on prouve que notre système atteint les objectifs de sa conception [33]. Il est important de noter que les lignes directrices sont très vagues et ne sont pas des normes en tant que telles. Chaque fournisseur doit développer ses propres processus de développement pour atteindre les objectifs de certification. Le respect de l esprit des lignes directrices assure cependant une plus grande probabilité que les processus développés respectent les standards de certification. Ces standards de certification sont disponibles auprès des autorités aériennes [8]. Les lignes directrices les plus populaires en avionique sont développées par la «Radio Technical Commission for Aeronautics» (RTCA), un organisme sans but lucratif. Plusieurs normes avioniques sont développées par l «Airlines Electronic Engineering Committee» (AECC) et publiées par Aeronautical Radio, inc. (ARINC). Ces normes sont respectées par l industrie et reconnues par les organismes régulateurs Directive DO-178B visant le développement logiciel La directive RTCA DO-178B [1] concerne le processus de développement logiciel en avionique. Son titre complet est «Software considerations in airborne systems and equipment certification». Il s agit de la plus importante directive dans le domaine du développement logiciel sur systèmes embarqués avioniques. Elle couvre tous les aspects importants pour la certification d équipement comportant une composante logicielle : la planification du projet ; le développement logiciel ;

35 15 la validation et vérification ; la gestion de la configuration (autant au niveau externe qu au niveau des livrables). L esprit de la directive est le déterminisme, c est-à-dire que chaque effet réactif du système a une cause prédéfinie, identifiable et reproductible dans les mêmes conditions [33, p. 15]. De plus, chaque fonction ou groupe d instructions doit être traçable vers une spécification fonctionnelle. Il ne doit donc y avoir rien qui puisse être laissé au hasard ou inséré inutilement dans le logiciel. Avant qu un système logiciel ne puisse être certifiable, on doit s assurer qu il est correct. Avec DO-178B, on doit s assurer de la préservation sémantique entre le code source et le code binaire. Les résultats des compilateurs doivent être vérifiés. Une autre contrainte de DO-178B est que le code doit être robuste aux valeurs aberrantes. En effet, si une variable contient une mesure physique impossible pour le mode d exécution courant, l erreur doit être détectée. Cette contrainte réduit considérablement les risques de catastrophes dans les cas de fautes logiques ou de corruption de mémoire, mais augmente grandement le nombre de cas à vérifier. Les étapes de vérification sont les plus coûteuses dans un processus DO-178B en raison des contraintes de vérification qui sont très sévères [9]. Malgré les contraintes sévères, DO-178B est une directive pragmatique, développée conjointement par l industrie et les organismes régulateurs. Des justifications adéquates permettent souvent de simplifier les vérifications nécessaires, ce qui permet de réduire les coûts de développement Architecture des systèmes embarqués avioniques L avionique fédérée Le modèle avionique classique est le modèle dit «fédéré» : l ensemble avionique d un appareil est constitué d une pluralité de systèmes conçus indépendamment par différents fabricants

36 16 et intégrés par l avionneur. L architecture des systèmes fédérés fournit à chaque fonction avionique les ressources suivantes [69, p. 12-2] (voir aussi figure 2.1) : un système embarqué dédié ; une infrastructure dédiée (alimentations, refroidissement, châssis) ; des interfaces d entrées/sorties dédiées ; un bus système dédié. Flight Management System Power Supply RAM Flight Control System Power Supply RAM Fuel Management Power Supply RAM OS Application OS Application OS Application CPU CPU CPU I/O COMM I/O I/O COMM I/O I/O COMM I/O Figure 2.1 Exemple schématique d une architecture fédérée Le modèle fédéré facilite la conception et la certification, car les interactions avec les autres systèmes sont bien circonscrites et la complexité des systèmes est maîtrisable avec des méthodologies éprouvées depuis plusieurs décennies. L hétérogénéité des fonctions avioniques dans un environnement fédéré augmente cependant les frais d exploitation des appareils, en raison notamment du nombre élevé de pièces de rechange à gérer, de l encombrement et du poids «mort» dédié à une réplication de modules à fonction unique.

37 L avionique modulaire intégrée (IMA, «Integrated Modular Avionics») Par opposition au modèle fédéré, le modèle avionique modulaire intégré vise à faire converger sur une même plateforme matérielle plusieurs fonctions avioniques qui auraient été développées sur des systèmes indépendants dans le passé [10]. La figure 2.2 présente l intégration des fonctions de la figure 2.1 avec le modèle IMA. Flight Mgmt System Flight Control System Fuel Management OS Application OS Application OS Application Partition Module OS System Configuration Tables RAM CPU I/O I/O I/O Power Supply I/O I/O COMM Figure 2.2 Exemple schématique d une architecture IMA L objectif de cette convergence est très clair, selon ARINC651 : «The [IMA] system design should make maximum use of shared resources to reduce resource duplication to a minimum. Such integration lowers the cost of ownership by reducing the acquisition cost, spares requirements, weight, and volume of the avionics equipment.» [10, p. 3] Les systèmes IMA atteignent cet objectif en fournissant : un système embarqué partagé où les applications sont isolées avec un partitionnement robuste (voir section 2.3 page suivante) ; une infrastructure commune (alimentations, refroidissement, châssis) ;

38 18 des interfaces distantes d entrée/sortie partagées ; un bus système distribué, par exemple un bus Ethernet redondant à haut débit. L IMA permet aussi d améliorer la standardisation des modules matériels. Cette standardisation vise à réduire le temps de développement d un système complet, car la phase de développement matériel n est pas à refaire. La même équipe peut ainsi entreprendre d autres projets sans réapprendre les spécificités d une architecture unique au projet [10, p. 47]. De plus, la réutilisation entre différents projets de fonctions avioniques déjà programmées est un objectif à long terme de l IMA. La plateforme Genesis [68]développée par Smiths Aerospace est un exemple de modèle idéalisé de plateforme IMA. Le «Common Core System» (CCS), une implémentation de la plateforme Genesis, est à la base de l ensemble avionique du Boeing 787 Dreamliner [68]. Le CCS supporterait entre 80 et 100 applications (une fonction avionique est composée d une ou plusieurs «applications») [6]. L Airbus A380, quant à lui, supporterait une vingtaine de fonctions avioniques sur sa plateforme IMA développées par une dizaine de fournisseurs [35, p. 25]. Dans ces deux cas, un réseau temps-réel ARINC-664 [11] réalise l interconnexion entre les modules IMA. L intégration IMA ne respecte les critères de sûreté logicielle que si les développeurs ont l illusion d avoir un système complètement indépendant et isolé. Sans cette indépendance entre les logiciels, une défaillance logicielle peut se propager à l intérieur du système. Les nouveaux systèmes d exploitation adaptés à l IMA sont dotés de mécanismes de partitionnement robuste qui isolent les partitions avec un niveau de sûreté très élevé. Nous présentons un survol de ces mécanismes à la section suivante. 2.3 Partitionnement robuste La contribution principale de ce mémoire est l adaptation d un noyau de partitionnement robuste afin qu il puisse supporter les processeurs multicoeurs. Dans cette section, nous défini-

39 19 rons en premier lieu ce qui est entendu par «partitionnement robuste», puisqu il s agit d un concept central à nos travaux. Par la suite, nous introduirons les considérations techniques liées au partitionnement robuste, incluant un survol de la norme ARINC-653. Finalement, nous présenterons une vue d ensemble des différentes méthodes de partitionnement robuste Définition du partitionnement robuste Le partitionnement robuste est défini comme suit dans la norme ARINC-653 : «[Robust Partitioning :] A mechanism for assuring the intended isolation of independent aircraft operational functions residing in shared computing resources in all circumstances, including hardware and programming errors. The objective of Robust Partitioning is to provide the same level of functional isolation as a federated implementation (i.e., applications individually residing on separate computing elements). This means robust partitioning must support the cooperative coexistence of applications on a core processor, while assuring unauthorized, or unintended interference is prevented.» [12, p. 110] Avant de continuer, mentionnons que cette description inclue la mention «on a core processor» (au singulier), ce qui implique qu une définition formelle du cas à plusieurs coeurs n est pas fournie dans cette norme. Le partitionnement robuste, dans le contexte du modèle IMA, vise à émuler le modèle avionique fédéré dans un système avionique intégré. Ainsi, chaque fonction avionique s exécutant sur un même processeur se verra isolée dans une «partition logicielle» 2 afin d éviter que la défaillance d une application n en affecte une autre. Dans ce contexte, le mot «partition» est employé dans son sens informatique traditionnel : on sépare l ensemble des ressources partagées d un système en fragments isolés les uns des autres. Rushby aborde de manière exhaustive le sujet du partitionnement dans les applications avioniques dans son rapport technique publié conjointement par la NASA et la FAA [57]. Il y présente intuitivement l objectif-clé du partitionnement : 2. On réduira cette expression au seul mot «partition» pour simplifier le discours.

40 20 «The behavior and performance of software in one partition must be unaffected by the software in other partitions.» [57, p. 11] Sans partitionnement robuste, il serait impossible de partager une machine entre plusieurs fonctions avioniques de façon sécuritaire. La nécessité du partitionnement est confirmée par l inclusion du concept dans DO-178B [1] et son document de clarification DO-248B [3]. L implémentation du partitionnement robuste est réalisée par le «noyau» de partitionnement robuste. Dans notre cas, nous employons le mot «noyau» dans le sens informatique moderne : il s agit de la composante centrale du système d exploitation d un ordinateur qui agit comme interface entre le matériel et les applications. Le bloc «Module OS» de la figure 2.2 représente le noyau de partitionnement robuste dans le modèle d un système IMA. On peut décomposer le partitionnement robuste en deux mécanismes interreliés dont la combinaison assure l isolation désirée : le partitionnement temporel et le partitionnement spatial. Nous traiterons séparément de ces deux mécanismes tout au long de notre exposé Partitionnement spatial Le partitionnement spatial vise à empêcher le partage de ressources physiques (mémoire, régions d entrée/sortie) qui pourrait causer un couplage ou la transmission de défaillances entre les partitions. Chaque ressource partageable doit être assignée à une seule partition par une table de configuration. La table de configuration est statique, ce qui veut dire qu elle est prédéfinie et qu elle ne peut en aucun cas changer après le démarrage de la machine. On assigne aux partitions des zones de mémoire qui ne se chevauchent pas. Ensuite, la composante de partitionnement spatial du noyau de partitionnement robuste se charge de faire appliquer les restrictions de la configuration à l aide de divers mécanismes matériels et logiciels. Nous discuterons plus en détail de ces mécanismes à la section 2.4. Grâce au partitionnement spatial, le dépassement de capacité d un tampon mémoire dans une partition A ne pourrait en aucun

41 21 cas écraser de données dans une partition B. Pour le moment, on considérera le cas usuel d une seule partition par application. Cette contrainte sera révisée au chapitre 4 lorsque nous présenterons notre modèle de partitionnement spatial multicoeur adapté Partitionnement temporel Le partitionnement temporel sert quant à lui à garantir que chaque partition obtient l usage exclusif du processeur pendant des périodes suffisantes pour respecter ses échéances critiques. On assigne des tranches de temps à chaque partition, en fonction de l analyse du pire cas de temps d exécution («worst case execution time» en anglais, WCET) et des exigences de périodicité de chaque programme. Ces assignations sont combinées pour construire un plan d exécution, défini sur la base d un «bloc d activation temporel majeur» périodique, dont la période est fixe. Le bloc d activation temporel majeur est aussi connu sous le nom de «major time frame» en anglais. Les partitions obtiennent le contrôle du processeur durant des «fenêtres d activation». Ces fenêtres d activations sont définies dans le bloc d activation temporel majeur par leur durée et leur décalage temporel par rapport au début du bloc. Un ordonnanceur applique ensuite le plan d exécution préconfiguré. Encore ici, la configuration est fixe et ne peut pas changer après le démarrage du système. Contrairement à ce qui est fait dans les systèmes d exploitation temps réel classiques, les ordonnanceurs employés pour le partitionnement temporel n appliquent en aucun cas de préemption aux partitions. Ainsi, une partition qui aurait fini son traitement plus tôt que prévu n accorderait pas le reste de sa tranche de temps à une autre partition. Tout au plus, le temps mort pourrait être réutilisé par le noyau pour des tâches administratives internes ou des fonctions ne pouvant pas mettre en péril la sûreté du système. La figure 2.3 présente un exemple de plan d exécution à deux partitions. Les paramètres de ce plan d exécution sont résumés au tableau 2.1. Dans cet exemple, deux partitions se partagent le temps du bloc d activation majeur. Les deux partitions obtiennent des fenêtres d activation